甲方安全实践
文章平均质量分 80
大棉花哥哥
某航空公司甲方信息安全工程师,一些实践经验与大家一起分享
展开
-
2023年攻防演练利器之必修高危漏洞合集(包含详细修复建议)
2023年攻防演练利器之必修高危漏洞合集(包含详细修复建议)原创 2023-08-03 09:53:48 · 391 阅读 · 0 评论 -
技术干货 | 甲方利用开源工具进行钓鱼演练
合理的提示+跳转,Pricking是nginx代理原理,所以他会记录我们的实际流量中的请求数据,我们为了伪造的闭环,在用户点击提交以后,也就是POST 或者 GET数据后 ,我们的fake静态页面是不支后端服务的,所以数据请求后一定是走error模块,这里设置一个alert弹框提示”xxx活动结束” 在跳转到公司的论坛或者wiki(不是Pricking不支持哦)这里利用场景不同。通过钓鱼获取账号凭证。内网系统的登录页面会有一定的挑战,那就是会被问内网的登录是如何泄露的,这一点一定要考虑攻击场景充分且合理。转载 2023-01-12 14:31:13 · 1365 阅读 · 0 评论 -
K8S后渗透横向节点与持久化隐蔽方式探索
通过前文探索,对于较为的隐蔽的ns可以利用kube-system,在该ns下kube-proxy又是特别好拿来利用的,他本身就是DaemonSet在每一个节点上都有一Pod,并且是每一个集群最基本默认就存在的,并且经过测试,该Pod使用的环境中虽然条件苛刻,但是自带perl可以用来反弹,并且该Pod默认开启了多项Linux Capabilities可以直接逃逸到宿主机。根据对Lease研究知道,首先这个东西起码要可以执行命令,通过继续对Kubernetes的不断探索,发现了一个叫做容器探针的东西。转载 2023-01-12 14:30:15 · 468 阅读 · 0 评论 -
华为开源治理实践分享
其中二进制成分分析能力已通过信通院可信开源治理工具评估,支持针对于软件包的检查包括Linux、Windows、IoT固件包、安卓和鸿蒙应用等,支持C、C++、Java、Python、JS、Rust等主流编程语言,支持安全编译选项、安全配置、典型编码问题、敏感信息泄露、开源组件License、开源漏洞等检查。华为在产品研发乃至全生命周期阶段,从选型、入库到开发阶段的使用申请、安全扫描,再到发布过程中的二进制扫描以及运维阶段对最新漏洞的跟踪排查,针对开源及第三方软件都有相应的管理规范和要求。转载 2023-01-12 14:26:44 · 1582 阅读 · 0 评论 -
应用安全测试与分析能力指南
近几年来,开源组件导致的安全问题频发:2017年美国征信公司Equifax因未修复Apache Struts中的漏洞,导致大规模个人信息泄露;2020年SolarWinds被黑客入侵,直接导致其客户都受到攻击威胁;2021年Log4j漏洞曝出,引起全球企业忧心忡忡,而美国网络安全审查委员会更是认为该漏洞可能会影响十年之久。开源组件的问题引发了对软件供应链安全的关注热潮。软件供应链安全经常和开发安全相挂钩——这一定程度上是可以理解的,因为大量的企业会使用开源组件来开发自己环境中所需要的应用。转载 2022-12-13 09:11:27 · 845 阅读 · 0 评论 -
东航建设漏洞管理平台的探索实践
一、法律法规下的漏洞管理要求漏洞是网络攻防的战略性资源。近年美国颁布了一系列有关漏洞披露管理的相关规定和法案,其对漏洞的披露管理十分严格谨慎。不难看出,美国早已将漏洞视为网络军火进行挖掘收集和严格管控。作为在漏洞管理链条中扮演重要角色的网络安全企业,也应利用自身安全技术和人才优势,在漏洞的挖掘、修复和处置中发挥更加重要的作用,提高国家和社会网络安全防护水平。1.1 国内法规要求目前国内存在的部分关于漏洞的管理规定:2019年6月1日:工信部《网络安全漏洞管理规定(征求意见稿)》已更新20原创 2022-04-03 12:44:16 · 5955 阅读 · 0 评论